作者Peterick (內有名片自介 ♂)
看板NetSecurity
標題Re: [問題] 區網內有電腦中殭屍病毒?
時間Wed Jun 2 17:26:18 2010
我想我還是回一下文章好了 ...
其實因為他那邊網路環境就是 一台很簡單的分享器 好像是民國 89 年買的
還有一台 Dlink 很舊的 16 port switch
有的網路線是直接從機房拉出去到用戶端的電腦
但是有的辦公室就是一條網路線從機房拉過來
然後在 接在 5 port 或者是 8 port switch 分享給大家
所以才會有這個 16 port switch 可是三四十台電腦在用
因為分享器太舊 所以 mac 綁定好像只能綁幾組而已 ...
中殭屍病毒的那台電腦似乎也不是隨時都在對外做攻擊
可能這個星期五突然收到 ISP 的通知 ...IP 是 XXX.XXX.XXX.XXX (行政中心做 NAT)
對外網站進行攻擊
可能時間會列表出來 ...
18 2010/5/28 上午08時46分01秒 CST 3293: IRC: NICK/USER Registration
Request XXX.XXX.XXX.XXX 64998 213.154.225.135 1234
1 2010/5/28 上午04時05分33秒 CST 3293: IRC: NICK/USER Registration Request
XXX.XXX.XXX.XXX 65115 213.154.225.135 1234
客戶的 IP 我暫時用 XXX 取代
可是收到報告之後似乎又安靜了一陣子 ...
我已經查過滿多台電腦也用防毒軟體掃毒過
的確是有一兩台電腦中毒也清楚了
但是其實我不太有把握 就是這兩台掃出有毒的電腦在攻擊
大家有甚麼比較好的建議嗎 ....
我有朋友建議我乾脆叫他們換設備最快 = =||
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 60.250.93.157
1F：推 joe80075:不然你就是先查你原來的switch在作亂~如果別的單位的話 06/03 10:36
2F：推 joe80075:查來轉NAT的MAC位置，之後再來做處理嚕 祝你好運! 06/03 10:40
3F：→ kobala:找熟網路解析的人員 作封包解析? 06/23 17:52
4F：→ kobala:既然已經有動作了 那應該不難抓到紀錄 06/23 17:52
5F：→ kobala:除非對方還做到一些修改發送端(你公司電腦)的方式 06/23 17:53
6F：→ kyshiao:掛SNIFFER抓一下封包吧 06/26 17:02